Zašto poduzeća unatoč ulaganjima ostaju ranjiva i što uprava mora dokazati prema ZInfV-1
JULIJ BOŽIČ, direktor Smartisa
Tijekom protekle godine u razgovorima s upravama i IT timovima više sam se puta susreo s istim paradoksom. Poduzeća su u kibernetičku sigurnost uložila mnogo novca, kupila vrhunske alate i pojačala zaštitu pojedinih dijelova svojeg informacijskog okruženja. Unatoč tome često nemaju jasan odgovor na jednostavno pitanje: bi li ozbiljan napad otkrila dovoljno rano i na njega pravodobno reagirala?
Pitanje je ove jeseni posebno aktualno. Novim ključnim i važnim subjektima 19. prosinca 2026. ističe rok za donošenje mjera iz članaka 21. i 22. ZInfV-1. Za obveznike prema prethodnom zakonu i operatore prema ZEKom-2 rok je istekao 19. lipnja 2026.
U Smartisu primjećujemo da problem često nije nedostatak tehnologije, nego način na koji je ona uključena u cjelokupni sigurnosni sustav. Kada se pojavi novi rizik, najlakši je odgovor kupnja novog alata – za e-poštu, mrežu, identitete ili oblak. Pojedinačno rješenje može biti izvrsno, ali samo po sebi još ne jamči veću sigurnost. Njegova vrijednost dolazi do izražaja tek kada ima jasnu ulogu, povezuje se s postojećim okruženjem i uključeno je u definirane procese odgovora.
Na to želim upozoriti: više ulaganja u sigurnost ne znači automatski i veći nadzor. Tehnologija povećava sigurnost kada uklanja konkretnu prazninu i smisleno je povezana s drugim mjerama. Ako rješenja nisu povezana, a odgovornosti nisu jasno određene, dodatni alati mogu ponajprije povećati složenost i troškove.
Više alata samo po sebi ne znači bolji pregled
Poduzeća su na nove prijetnje često odgovarala dodatnom tehnologijom. Tako su nastala okruženja s odvojenim rješenjima za mrežu, e-poštu, krajnje uređaje, oblak, identitete, zapise događaja te IT i OT sustave. Svako prati svoj dio, koristi vlastita pravila i stvara vlastiti tok upozorenja. Problem stoga nije u broju rješenja, nego u tome čine li zajedno upravljiv sigurnosni sustav.
Događaj koji se u jednom sustavu čini nevažnim može zajedno s upozorenjem iz drugog razotkriti ozbiljan napad. Ako sustavi ne razmjenjuju informacije, vezu među stotinama ili tisućama dnevnih upozorenja mora prepoznati čovjek.
Sigurnost se stoga ne mjeri brojem licenci, nego time koliko brzo organizacija otkrije odstupanje, shvati njegovu ozbiljnost i reagira.
Kod kibernetičkog napada najskuplje je izgubljeno vrijeme
Sigurnosni timovi svakodnevno obrađuju mnoštvo upozorenja. Mnoga su udvostručena, manje važna ili lažna, pa analitičari mnogo vremena troše na događaje koji ne zahtijevaju djelovanje. U međuvremenu se stvarni napad može nastaviti.
Napadač u nekoliko sati može steći dodatne ovlasti, kretati se između sustava te pristupiti osjetljivim podacima ili pripremiti njihovu krađu odnosno šifriranje. Razlika između ranog otkrivanja i otkrivanja zakašnjelog nekoliko sati nije tehnička sitnica – ona može odvojiti ograničeni incident od poslovne krize.
U Smartisu smo u zahtjevnom okruženju jednog većeg slovenskog poduzeća testirali rješenje koje uči uobičajeno ponašanje informacijskog okruženja. Anomaliju je prepoznalo znatno ranije od postojećih sustava i procesa nadzora. U drugom slovenskom poduzeću ista je vrsta tehnologije pravodobno otkrila stvarni kibernetički napad i omogućila da ga se zaustavi prije nego što je prouzročio veću poslovnu štetu.
Takav pristup ne traži samo poznate obrasce napada, nego upozorava na neuobičajen pristup, nagli prijenos veće količine podataka, komunikaciju s nepoznatim odredištem ili poruku koja odstupa od uobičajene korespondencije. Tehnologija ne zamjenjuje stručnjake, nego im pomaže da brže prepoznaju stvarne opasnosti.
ZInfV-1 ne broji kupljene alate, nego zahtijeva konkretne, provedene i provjerljive sigurnosne mjere
Nepovezano sigurnosno okruženje za obveznike nije samo operativni nedostatak, nego i problem dokazive usklađenosti.
ZInfV-1 vrijedi od 19. lipnja 2025. i u slovenski pravni poredak prenosi europsku direktivu NIS 2. Za provedbu mjera iz članaka 21. i 22. odgovorne su osobe koje vode, nadziru ili upravljaju poslovanjem organizacije. One moraju odobriti mjere i nadzirati njihovu provedbu.
Obveznici moraju urediti sigurnosnu dokumentaciju, poznavati svoju informacijsku imovinu, provoditi odgovarajuće sigurnosne mjere, osigurati zapise događaja, provjeravati učinkovitost mjera i prijavljivati značajne incidente u zakonskim rokovima.
Zakon ne propisuje popis proizvoda. Organizacija mora pokazati kojom imovinom i rizicima upravlja, tko je za njih odgovoran, koje mjere provodi i djeluju li one. Za to su joj potrebni uređeni podaci, jasni procesi te povezanost tehnologije, ljudi i odgovornosti.
Tri pitanja za upravu
- Imate li ažuran pregled ključne informacijske imovine i odgovornosti za nju? Znate li koja IT imovina podržava koje poslovne funkcije?
- Možete li prijetnju otkriti dovoljno rano da ograničite njezin utjecaj?
- Imate li nadzor nad time tko može pristupiti najosjetljivijim sustavima, podacima i digitalnim ključevima?
Ako na neko od tih pitanja ne možete odgovoriti jasnim „da“, prije nove kupnje provjerite praznine u postojećem okruženju. Novo rješenje ima smisla ako uklanja jasno prepoznatu prazninu, povezuje se s postojećim sustavima i pridonosi bržem otkrivanju, odlučivanju ili odgovoru.
Smartisov pristup: tri povezana područja
Cjelovitu kibernetičku sigurnost nije moguće uspostaviti jednim proizvodom, a ne jamči je ni veći broj alata. U Smartisu je gradimo u tri područja koja se mogu uvoditi postupno, ovisno o stvarnim prazninama i prioritetima organizacije. Polazište stoga nije popis tehnologija, nego pitanje koje sposobnosti organizacija treba i kako ih povezati u upravljivu cjelinu.
Prvo područje čine temelji: informacijska imovina, procesi upravljanja IT-om i dokumentacija. Organizaciji su potrebni jasno definiran registar informacijske imovine i njegova povezanost s poslovnim funkcijama te jasno definirani IT procesi upravljanja promjenama, incidentima, problemima i zahtjevima kako bi mogla uspostaviti pregled, sljedivost i dokaze.
Drugo područje su otkrivanje i zapisi događaja. Rješenja za otkrivanje anomalija prate mrežu, e-poštu i identitete, a sustavi za upravljanje sigurnosnim događajima centraliziraju i povezuju zapise događaja. Uz podršku usluga upravljanog otkrivanja i odgovora, odnosno sigurnosno-operativnog centra, organizacija može brže otkriti, procijeniti i obraditi incident.
Treće je područje zaštita identiteta, pristupa i osjetljivih podataka. Ovamo pripadaju upravljanje privilegiranim pristupom i višefaktorska autentifikacija, upravljanje životnim ciklusom digitalnih certifikata te zaštita digitalnih tajni i ključeva. Cilj nije dodavati tehnologiju radi tehnologije, nego ukloniti konkretne praznine i te sposobnosti povezati s ostalim dvama područjima.
Prije sljedeće kupnje najprije provjerite postojeće okruženje
Sljedeća sigurnosna odluka stoga ne bi trebala početi pitanjem koji alat poduzeće još mora kupiti. Trebala bi početi provjerom stvaraju li postojeće tehnologije, podaci, identiteti, ljudi i procesi dovoljno jasnu i upotrebljivu cjelinu te gdje su praznine koje ima smisla ukloniti.
Smartis pomaže povezati upravljanje informacijskim okruženjem, praćenje kibernetičkih prijetnji te zaštitu identiteta i pristupa u sljediv i upravljiv sustav.
Cilj nije dodati još jednu konzolu. Cilj je opasnost otkriti dovoljno rano, razumjeti njezino značenje i pravodobno djelovati – kako bi uprava mogla mirno spavati, znajući da ima okruženje pod nadzorom.
Najveća sigurnosna ranjivost često nije tehnologija koju nemate. To je praznina između sposobnosti, procesa i odgovornosti koji bi trebali djelovati kao cjelina.
Najčešća pitanja o kibernetičkoj sigurnosti
Zašto više sigurnosnih alata ne znači veću sigurnost?
Zato što svaki alat prati samo dio informacijskog okruženja i stvara vlastita upozorenja. Sigurnost se poboljšava kada rješenja uklanjaju konkretne praznine, razmjenjuju informacije i uključena su u jasan proces odgovora. Ako ostanu nepovezana, sigurnosni tim teže prepoznaje širi kontekst događaja i sporije reagira.
Što je preopterećenost sigurnosnim upozorenjima?
Riječ je o stanju u kojem sigurnosni sustavi stvaraju toliko upozorenja da ih analitičari više ne mogu pravodobno i kvalitetno obraditi. Važan signal može se izgubiti među lažnim, udvostručenim ili manje opasnim događajima.
Kako utvrditi jesu li sigurnosni alati u poduzeću dovoljno povezani?
Treba provjeriti razmjenjuju li rješenja podatke, prikupljaju li se i povezuju događaji na jednom mjestu te je li jasno tko obrađuje pojedino upozorenje. Važno je i može li organizacija pratiti cijeli put od otkrivanja anomalije do odluke, odgovora i dokumentiranja incidenta.
Što ZInfV-1 zahtijeva od uprave organizacije?
Uprava mora odobriti mjere za upravljanje rizicima, nadzirati njihovu provedbu i brinuti se da organizacija sustavno upravlja informacijskom sigurnošću. Odgovornost se stoga ne može u potpunosti prenijeti na IT odjel ili vanjskog pružatelja usluga.
Što poduzeće mora provjeriti prije kupnje novog sigurnosnog alata?
Najprije mora utvrditi koju konkretnu prazninu rješava, kako će se novo rješenje povezati s postojećim okruženjem, tko će pratiti upozorenja i kako će se odvijati odgovor. Smislena nova tehnologija smanjuje složenost ili je drži pod kontrolom; kupnja bez tih odgovora može je povećati, a da pritom ne poboljša sigurnost.
Ako na neko od triju pitanja ne možete odgovoriti jasnim „da“, pišite mi na jakob.matek@smartis.si – zajedno ćemo provjeriti gdje je najveća praznina i što morate urediti najprije, do 19. prosinca 2026.
